HSTS (HTTP Strict Transport Security)

En-tête ordonnant au navigateur de privilégier HTTPS pour un domaine pendant une période définie, après une connexion TLS valide. Son application dépend du contexte WordPress et de la configuration technique.

Rôle et fonctionnement

En-tête ordonnant au navigateur de privilégier HTTPS pour un domaine pendant une période définie, après une connexion TLS valide. Le résultat dépend du serveur web, du proxy, de PHP et parfois d’un CDN; WordPress n’est pas toujours le composant responsable du comportement observé. Pour HSTS (HTTP Strict Transport Security), il faut distinguer le principe présenté, la responsabilité de WordPress et les éventuelles bibliothèques ou services externes : la fiche précise le mécanisme sans le présenter à tort comme une fonction native si ce n’en est pas une.

À quoi cela sert ?

Dans le contexte WordPress, le besoin pratique est le suivant : sécuriser les visites ultérieures d’un site correctement déployé derrière HTTPS. Cela permet de résoudre un besoin identifié plutôt que d’activer une fonctionnalité uniquement parce qu’elle existe. On commence par préciser la donnée ou l’interface concernée, l’endroit où le traitement intervient et les utilisateurs autorisés à le déclencher.

Quand l’utiliser dans un projet ?

Une application concrète est : sécuriser les visites ultérieures d’un site correctement déployé derrière HTTPS. Le bon choix dépend de la couche à laquelle agit HSTS (HTTP Strict Transport Security) : interface, transport HTTP, infrastructure, stockage ou programmation serveur. Avant intégration, confirmer la compatibilité et les composants dont dépend l’exemple.

Exemple technique commenté

Strict-Transport-Security: max-age=31536000

L’extrait représente un échange ou un en-tête HTTP. Il faut le vérifier dans la réponse réelle : le coller dans un article WordPress n’en modifiera pas le comportement.

Décryptage du résultat attendu

L’exemple illustre HSTS (HTTP Strict Transport Security) dans une situation volontairement limitée : sécuriser les visites ultérieures d’un site correctement déployé derrière HTTPS. Son résultat attendu est de rendre observable le mécanisme décrit, non de constituer à lui seul une extension prête à publier. Les retours d’erreur, l’accessibilité et les permissions doivent être traités autour du fragment lorsque le scénario l’exige.

Atelier de vérification

Reproduire le contexte du cas : Sécuriser les visites ultérieures d’un site correctement déployé derrière HTTPS
Appliquer uniquement l’exemple correspondant à la couche étudiée (http) dans un environnement isolé.
Comparer les en-têtes publics, les journaux d’infrastructure et le fonctionnement depuis le navigateur.
Documenter le résultat et confronter l’observation à la description de HSTS (HTTP Strict Transport Security).

Erreurs et limites à connaître

Ne pas activer includeSubDomains ou preload sans maîtriser tous les sous-domaines et leur disponibilité en HTTPS.

Diagnostic avancé

Comparer les en-têtes publics, les journaux d’infrastructure et le fonctionnement depuis le navigateur. Si le résultat diverge, vérifier d’abord les préconditions, les versions et les composants externes. Isoler ensuite la différence entre absence de donnée, comportement normal et erreur effective, avant d’envisager une modification du site public.

À ne pas confondre

Le terme HSTS (HTTP Strict Transport Security) désigne ici un mécanisme précis. Il ne doit pas être confondu avec les outils qui l’observent, les options qui le configurent ni les protections qui peuvent le compléter. Les explications et les exemples restent valables dans leur contexte indiqué, pas automatiquement pour toutes les installations WordPress.